Les VPN sont-ils vraiment utilisés par les hackers ?
Les VPN souffrent de nombreuses idées reçues, dont celle qui les associe systématiquement aux activités criminelles en ligne. Cet amalgame repose sur une confusion entre anonymat technique, confidentialité des données et impunité juridique, trois concepts distincts. Cette réputation découle d’une représentation culturelle biaisée et de quelques affaires très médiatisées comme l’affaire LulzSec. Pourtant, la réalité est bien plus nuancée : les VPN grand public ne sont ni conçus ni utilisés pour garantir l’impunité.
D’où vient l’association VPN = hackers ?
Un imaginaire construit dans la fiction
L’association VPN = clandestinité ne vient pas d’une réalité technique, mais d’une construction culturelle progressive.
Dans les années 1980-1990, la matrice cyberpunk (Neuromancer, Ghost in the Shell, Snow Crash) installe l’idée que masquer son identité numérique est un acte de rébellion : un individu isolé face à des systèmes de surveillance omniprésents.
Dans ces récits, l’anonymat n’est pas un confort, mais une condition de survie. Les technologies de masquage y sont présentées comme des outils de résistance dans des mondes hyper-surveillés.
Lorsque le VPN apparaîtra plus tard sous sa forme moderne, il hérite de cette symbolique, même si son objectif réel n’a rien à voir avec la clandestinité.
Hollywood simplifie et amplifie
Dans les années 2000-2010, les codes du cyberpunk sont récupérés par le divertissement grand public.
Dans Matrix, Mr. Robot ou Black Mirror, le personnage du « hacker » est présenté avec les mêmes attributs visuels : capuche, lignes de code qui défilent, et mention explicite d’un VPN ou d’un proxy.
Cette simplification scénaristique crée un biais de perception : si tous les hackers fictionnels utilisent un VPN, alors le VPN est perçu comme l’outil des hackers. Le raccourci narratif devient une croyance.
Des affaires médiatisées figent le stéréotype
Quelques cas réels ont renforcé l’idée, malgré leur rareté.
L’affaire LulzSec par exemple a été extrêmement médiatisée : elle impliquait l’usage d’un VPN, ce qui a « validé » l’amalgame auprès du grand public.
En réalité, ce cas montre surtout autre chose : l’usage d’un VPN commercial n’a pas empêché l’identification judiciaire. On y revient dans la partie suivante.
Ce qu’un VPN fait vraiment (et ce qu’il ne fait pas)
L’origine réelle de l’outil
Avant d’examiner ce qu’un VPN fait techniquement, rappelons son origine réelle : le premier VPN a été conçu en 1996 par un ingénieur de Microsoft, Gurdeep Singh-Pall, pour permettre aux employés d’accéder à leur réseau d’entreprise de manière sécurisée à distance.
Son objectif initial était strictement professionnel : protéger les communications d’entreprise, pas masquer des activités criminelles.
Ce qu’un VPN ne fournit pas
En revanche, un VPN ne fournit pas :
- d’impunité juridique,
- d’invisibilité numérique totale,
- ni de suppression des traces d’usage volontaire (comptes, services cloud, cookies, historiques synchronisés).
L’idée « un VPN rend anonyme » est techniquement erronée : un acte illégal commis derrière un VPN reste traçable via de nombreux vecteurs (contextes techniques, corrélations, erreurs humaines, demandes judiciaires).
Derrière un VPN, l’utilisateur laisse toujours d’autres traces indépendantes : comptes connectés, identifiants en ligne, métadonnées, comportements, horaires, et l’ensemble du contexte réseau.
Un outil de confidentialité, pas d’impunité
Un VPN commercial a un rôle simple :
- il chiffre les données entre l’appareil et le serveur VPN,
- il masque l’adresse IP publique vis-à-vis des sites visités,
- il réduit l’exposition au pistage sur les réseaux publics.
Un VPN protège donc la confidentialité du transport, c’est-à-dire la capacité de tiers techniques (FAI, hotspots Wi-Fi, acteurs opportunistes sur réseaux publics) à observer le contenu ou la nature d’une communication.
Preuve concrète : l’impunité est un mythe
Dans l’affaire LulzSec, l’usage d’un VPN commercial n’a pas empêché l’identification des utilisateurs impliqués lorsque des mécanismes judiciaires et des contraintes de juridiction sont en jeu.
Ce cas contredit directement le fantasme « VPN = impunité ».
VPN commercial ≠ infrastructure criminelle
Un glissement de vocabulaire trompeur
L’amalgame vient aussi d’un glissement de vocabulaire.
Pour le grand public, « un VPN » désigne un service commercial (installé sur un téléphone ou un PC). Pour la fiction médiatique, « VPN » est devenu un fourre-tout désignant toute forme de masquage d’identité.
La réalité juridique des services VPN
En pratique, les services VPN grand public sont soumis à des lois, à des juridictions, et parfois à des audits.
Ils peuvent être légalement contraints de répondre à des demandes judiciaires.
C’est précisément ce qui s’est passé dans des affaires comme HMA et LulzSec, l’affaire IPVanish ou l’enquête PureVPN : les fournisseurs ont fourni les informations qu’ils détenaient dans le cadre d’enquêtes judiciaires.
Ces cas ne sont pas équivalents : les informations fournies variaient selon les politiques internes et le cadre juridique de chaque demande.
Une nuance importante sur les logs
Un VPN sans logs audité indépendamment ne conserve aucune donnée exploitable permettant de relier une activité à un utilisateur spécifique. L’absence de logs limite ce qu’un fournisseur peut fournir, mais ne supprime pas toute forme d’identification possible.
D’autres éléments extérieurs au VPN restent exploitables : corrélations temporelles chez le FAI, usage de comptes connectés, métadonnées cloud, ou erreurs d’opération.
Mais cela ne change pas la nature de l’outil : un VPN protège la confidentialité, pas les actes.
Un raccourci créé par la fiction
Confondre un outil grand public avec l’infrastructure utilisée dans des contextes criminels organisés est un raccourci créé par la fiction et le sensationnalisme, pas par l’usage réel.
Les usages réels des VPN grand public
À l’inverse de l’image véhiculée par la culture populaire, la grande majorité des utilisateurs de VPN sont des profils légitimes, dans des contextes que le public ne remarque pas, précisément parce qu’ils sont ordinaires.
Exemples d’usages courants
- salariés en télétravail, qui se connectent à des outils professionnels,
- voyageurs et expatriés, qui accèdent à leurs services habituels,
- journalistes, chercheurs, militants, qui protègent leurs communications,
- étudiants, familles, qui évitent le pistage sur Wi-Fi publics,
- personnes en déplacement, qui utilisent des réseaux non maîtrisés.
Le VPN est devenu un outil banal de protection dans un environnement numérique où les données circulent sur des réseaux que l’utilisateur ne contrôle pas.
Il ne garantit pas l’impunité, et son usage dominant n’a rien à voir avec l’illégalité.
Conclusion
L’association « VPN = hackers » est le produit de décennies de représentations culturelles, renforcées par quelques cas médiatisés, mais sans lien avec l’objectif réel du VPN.
- le VPN est né dans l’entreprise,
- il protège la confidentialité du transport,
- il n’offre pas l’impunité juridique,
- et les acteurs criminels sérieux ne s’appuient pas sur les services grand public.
La réalité quotidienne du VPN est légitime, et loin du fantasme construit par la fiction.